![[Foto: Bundesdruckerei]](images/07-2-010-1.jpg)
Zwei Beispiele, wie eine European Citizen Card (ECC) in Deutschland aussehen könnte: kontaktlos in Personalausweisgröße oder als klassische Chipkarte, die auch als Hybridkarte mit zusätzlicher kontaktloser Schnittstelle ausgestattet sein kann.
Basis der europäischen Bürgerkarte (European Citizen Card, ECC) ist der Wunsch, dass jedermann in ganz Europa eine hochsichere Chipkarte besitzt, die im Alltag grenzübergreifend die sichere Nutzung von Diensten ermöglicht, für die Bürger ihre Identität nachweisen müssen. Als erstes denkt man dabei gemeinhin an die typische personalausweisspezifische Identitätsnachweisfunktion, etwa bei Grenzkontrollen. Die ECC soll aber auch eine sichere Nutzung von E-Government- oder E-Business-Anwendungen ermöglichen, wie das Ummelden des Wohnorts im Internet oder den juristisch verbindlichen Abschluss von Versicherungsverträgen.
Kern der ECC ist eine elektronische Signatur, die ein persönliches Erscheinen im Bürgeramt oder bei einer ausländischen Versicherungsgesellschaft nicht mehr notwendig macht. Die Signatur mittels ECC bedeutet einen rechtsverbindlichen Nachweis der eigenen Identität vom häuslichen PC aus. Dieser gewaltige Schritt in Richtung elektronische Identifikation (eID) und der damit verbundene technologische Sprung von optischer Maschinenlesbarkeit (OCR) eines Ausweises hin zur kryptografisch abgesicherten und authentifizierbar sicheren Kommunikation eines ECC-Chips mit externen Anwendungen – egal ob Zentimeter oder Tausende von Kilometern entfernt – sollen das große Potenzial von "Secure Remote Identification Processes" abdecken.
Um dieses Ziel zu erreichen, ist jedoch noch ein weiter Weg zu gehen. Zwar sind die technischen Komponenten in Form von Chipkarten mit implantierten Mikroprozessoren bereits seit Langem vorhanden und diese sind auch für jedermann preislich erschwinglich. Auch die europäische Standardisierung einer ECC ist – wie später im Detail beschrieben – sehr weit fortgeschritten. Dennoch hapert es noch bei den Aussichten für die grenzüberschreitende Interoperabilität!
Zwei Beispiele, wie eine European Citizen Card (ECC) in Deutschland aussehen könnte: kontaktlos in Personalausweisgröße oder als klassische Chipkarte, die auch als Hybridkarte mit zusätzlicher kontaktloser Schnittstelle ausgestattet sein kann.
Zur Veranschaulichung möge folgende Science-Fiction aus der nahen Zukunft dienen: Um ins europäische Ausland zu fliegen, bucht unser Musterbürger online an seinem PC und erhält am Check-in-Schalter nach einer Identitätskontrolle seinen Boardingpass (vielleicht später einmal sogar auf die ECC geladen). Am Gate wird per ECC-Check – diesmal hoheitlich – erneut seine Identität geprüft, kaum gelandet abermals am Grenzkontrollpunkt des Zielstaats. Am Schalter einer Autovermietung bucht der Reisende einen Mietwagen und unterschreibt mit seiner ECC am Display einen elektronischen Vertrag per digitaler Signatur. Bekommt der Mann am nächsten Tag Zahnschmerzen, möchte der Arzt im fremden Land vermutlich zwecks Rechnungsstellung einen zuverlässigen und rechtsverbindlichen Identitätsnachweis sehen ...
Die ECC soll sowohl in verschiedenen europäischen Ländern als auch für verschiedene Anwendungsfelder (ID-Kontrolle als hoheitliche Aufgabe, kommerzielle Vertragsabschlüsse etc.) ihrem vielversprechenden Namen Ehre machen. Wie gesagt: Technisch könnte sie das schon heute. Was fehlt ist die Logistik "dahinter"! Der wesentliche Grund für zu erwartende Hindernisse bei der Verbreitung einer wirklich nutzbringenden ECC ist das bislang fehlende Mandat der EU: Hier fehlt schlichtweg noch die Verfassung, die eine kompatible ID-Kontrollpflicht vorgibt.
Daher können ECC-Standards heute nur eine Art Tool-Box sein, eine Sammlung von Eigenschaften und Funktionen, welche die an der Normung beteiligten Firmen und Institutionen für sinnvoll und zielführend halten. Was es nicht gibt, ist eine klar umrissene EU-Spezifikation, die eine Interoperabilität innerhalb Europa garantieren könnte. Immerhin besteht seit Mitte 2006 eine Liaison zwischen der EU und dem Technical Committee CEN/TC224 der europäischen Normungsorganisation Comité Européen de Normalisation (CEN), sodass man zumindest für die weitere Entwicklung der ECC-Standards eine engere Bindung und Kooperation mit der EU erwarten darf.
Potenzielle Probleme sollen im Folgenden zwei Beispiele verdeutlichen: Die heutigen Standards legen zwar fest, dass eine ECC die Schnittstelle einer Chipkarte aufweisen muss. Sie legen aber nicht fest, ob diese als kontaktbehaftete Chipkarte (ISO/IEC 7816), als kontaktlose Chipkarte (ISO/IEC 14443) oder mit Dual-Interface ausgeführt werden soll. Zudem ist das ID-1-Format (Kreditkartengröße) gemäß aktuellem Stand von ISO/IEC 14443 für ausschließlich kontaktlos arbeitende "Chipkarten" nicht mehr bindend. Eine ECC könnte daher ebenso das ID-2-Format (Personalausweisgröße), theoretisch sogar das ID-3-Format (Reisepassgröße) einnehmen.
Die Folge: Wenn ein europäisches Land seine ECC als pure Kontakt-Chipkarte ausgibt, ein anderes Land als rein kontaktloses eID-Dokument, erfüllen beide den Standard. Dann müssten Vereinbarungen zwischen beiden Ländern getroffen werden, um zumindest eine Kommunikationsmöglichkeit sozusagen auf Hardware-Ebene zu schaffen, denn sonst bliebe eine Interoperabilität schon hier auf der Strecke. Ein solches bilaterale Problem, erweitert auf die realen Verhältnisse in 27 Ländern, zudem unter Berücksichtigung aller oben genannten Möglichkeiten erscheint durch zwischenstaatliche Vereinbarungen nicht lösbar.
Eine weitere potenzielle "Bedrohung" für ECC-Interoperabilität wären unterschiedliche Festlegungen in europäischen Ländern bezüglich hoheitlicher (Teil-)Funktionen: In Deutschland erstellt das Bundesamt für Sicherheit in der Informationstechnik (BSI) seit mehreren Monaten detaillierte und ausgereifte Spezifikationen, die in den relevanten DIN-Gremien zwecks Weiterverarbeitung in den europäischen beziehungsweise internationalen Normungsgremien CEN und ISO eingebracht und unterstützt werden. Diese Dokumente betreffen die Nutzung der digitalen Signaturfunktion über die kontaktlose Schnittstelle, was für manche zwar ein Novum sein mag, aber sowohl technisch als auch aus Kostensicht sinnvoll wäre.
Der Gedanke dahinter ist die konsequente Einführung der Kontaktlos-Schnittstelle, wie sie bereits der elektronische Reisepass international nutzt – hier hatten 189 Länder der internationalen zivilen Luftfahrtbehörde ICAO das Mandat erteilt, für echte Interoperabilität zu sorgen. Im Falle der ECC wäre die Schnittstelle dann auch für andere Funktionen verwendbar, die nicht von der ICAO vorgegeben und für Grenzkontrollen nötig sind. Unterschiedliche Festlegungen in 27 EU-Ländern, wie man eine solche digitale Signatur erstellt, würden jedoch im oben aufgeführten Beispiel-Szenario zu erheblichen Komplikationen führen.
| Anwendungen mit sinnvoller europaweiter Interoperabilität | heute üblicherweise genutzte ID | empfohlene ID | empfohlene Schnittstelle | |
|---|---|---|---|---|
| Bürger | E-Government online: Zugang zu schutzwürdigen Daten, Formulare, sichere Kommunikation, Zusatzdienste/Vereinfachungen,… | Nationale ID, nationale oder regionale Bürgerkarte, … | ECC | contact(less) |
| E-Health: Zugang zu schutzwürdigen Daten, grenzüberschreitende Dienstleistungen,… | Krankenversichertenkarte | ECC | contact | |
| Privatwirtschaftliche Online-Dienste: Elektronische Signatur, sichere Identifizierung, ... | Nationale ID, Bürgerkarte, … | ECC | contact | |
| Luftverkehr innerhalb der EU | Nationale ID, Reisepass | ICAO | contactless | |
| Straßenverkehr innerhalb der EU | Führerschein | Bassis: ICAO | contactless | |
| Unternehmen | E-Procurement, qualifizierte elektronische Signatur,… | Signaturkarte, Token | ECC | contact(less) |
| Sichere E-Mail | Token | ECC | contact | |
Tabelle 1: Mögliche Anwendungsfelder für europaweite elektronische Identifikation, Authentifizierung und Signaturen (IAS Services)
Trotz kritischer Gedanken zur Interoperabilität sollen die bisherigen ECC-Standardisierungsaktivitäten dennoch in angemessener Weise gewürdigt werden. Hierzu und zum besseren Verständnis mögen einige Details zum ECC-Standardisierungsprojekt dienen, das auf einem französischen Normungsantrag aus dem Jahr 2002 beruht, der im bereits erwähnten zuständigen Technical Committee CEN/TC224 "Personal identification, electronic signature and cards and their related systems and operations" eingereicht wurde. Der damalige Arbeitstitel lautete "Citizen Electronic Card – CEC". Frankreich hatte dabei nicht nur die Idee vorgebracht, sondern bereits mit einem 30-seitigen Standardentwurf aufgewartet. Mitte Dezember 2002 hat das TC224 die detaillierte Ausarbeitung der Standards der eigens gegründeten Working Group WG15 "European Citizen Card" übertragen. Vorsitz und Sekretariat liegen in der Regel in den Händen desjenigen Landes, welches ein Normungsvorhaben erfolgreich einbringt, so auch in diesem Fall – also in französischer Verantwortung. Nach etwa einjährigen Standardisierungsverhandlungen in der WG15 war ein Entwurf für die ECC-Standard-Struktur erreicht, der die beiden ersten Teile der zugewiesenen Standard-Serie CEN/TS 15480 bildete; zwei weitere folgten 2005:
TS steht dabei für Technical Specification und weist darauf hin, dass es sich um einen europäischen Standard handelt, der (noch) nicht als verbindlich gilt; die 15480-Serie befindet sich sozusagen in einem Versuchsstadium. Eine Überführung der TS in eine European Norm (EN) ist zu einem späteren Zeitpunkt möglich, wobei dann aber strengere Abstimmungsregularien gelten.
Während die beiden ersten Teile Anfang 2007 dem Publikationsverfahren des CEN übergeben worden sind, befinden sich die Teile 3 und 4 noch in der Entwicklung – ihre Fertigstellung und Übergabe in das erste Abstimmungsverfahren wird für Ende des Jahres erwartet. Die ECC-Entwicklung in der WG15 wird zudem flankierend von den Standardisierungsaktivitäten zweier "Bruder-WGs" begleitet:
Die seit vier Jahren andauernden ECC-Standardisierungsbemühungen europäischer Firmen sind zu begrüßen und eine breite Nutzung der daraus entstehenden Standards ist erstrebenswert. Jedoch sind isoliert festgelegte ECC-Realisierungen in einigen EU-Ländern während der kommenden Jahre wahrscheinlich und es bleibt nur zu hoffen, dass diese für künftige Vereinheitlichungen offen bleiben.
Die deutsche Regierung, präziser das Bundesministerium des Innern (BMI) zusammen mit dem BSI und dem Bundeskriminalamt (BKA), tragen als erste in Europa in zu befürwortender Weise und auch substanziell zum Vorantreiben der ECC-Standards bei. Wenn es gelänge, diese Initiative zu einem konstruktiven Aufrütteln anderer europäischer Regierungen in Richtung Konsens zu nutzen, wäre dies ein außerordentlich wichtiger Schritt für die eID-Landschaft Europas. Plausiblerweise würde man dabei auf den Festlegungen zum künftigen deutschen elektronischen Personalausweis aufbauen.
Ein solcher Schritt würde sich vor allem dann als richtungsweisend erweisen, wenn zeitnah eine EU-Verfassung zustande käme, weil damit auch das Mandat für eine innerhalb der EU interoperable ECC per se gegeben wäre.
Michael Hegenbarth ist Vorsitzender des DIN-Ausschusses NIA-17 "Karten und persönliche Identifikation" und Senior Director for Standardization & Consulting bei der Bundesdruckerei GmbH.
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2007#2, Seite 10
tag:kes.info,2007:lp:2007-2-B
| 